基于windows日志的电子证据获取与分析方法研究

摘要

日志记录了计算机系统以及应用程序运行过程中的操作,是计算机取证中重要的线索和证据来源.针对Windows日志的实时获取问题,提出了两种日志实时获取方法.在实时获取日志的基础上,提出了将日志文件与原子攻击功能关联的方法,将对日志文件的分析转换成对原子攻击功能的分析,大大减少了日志文件分析的时间.提出了一种基于时间的日志关联分析和事件重构方法,实现对计算机犯罪场景的还原.最后通过实验,验证了这些方法的效果.